Theme NexT works best with JavaScript enabled

编译Nginx使博客支持QUIC-HTTP/3

博客支持HTTP/3,有多种方法可以实现,比如直接用Caddy v2;或者手工编译Nginx,打入Cloudflare开发的一个Nginx-QUIC补丁;Nginx官方10号宣布支持HTTP/3,于是又多出一种方法了。由于是Nginx老用户了,于是,分享打quiche补丁编译Nginx和编译官方Nginx-quic两种方法,以及博客配置的过程。

打补丁编译Nginx

首先是要下载Nginx和Cloudflare的quiche,但是实际编译中还需要cmake、go运行库、还有rust,咱们一步一步来。

下载nginx

Nginx官网:https://nginx.org/en/download.html

打开官网下载最新的nginx-1.19.0并解压:

wget -c https://nginx.org/download/nginx-1.19.0.tar.gz -O - | tar -xz

下载quiche

git clone --recursive https://github.com/cloudflare/quiche

下载go

下载go并解压到/usr/local路径下:

wget -c https://dl.google.com/go/go1.14.linux-amd64.tar.gz -O - | tar -xz -C /usr/local/

设置go环境变量,也可以写入到profile中

vi ~/.profile 写入下面内容:

1
2
3
4
5
export PATH=$PATH:/usr/local/go/bin
export PATH=$PATH:$HOME/.cargo/bin
export GOROOT=/usr/local/go
export GOBIN=$GOROOT/bin
export PATH=$PATH:$GOBIN

保存后,source ~/.profile

下载安装cmake

下载最新cmake,并编译安装:

1
2
3
4
5
6
#下载最新cmake
wget https://github.com/Kitware/CMake/releases/download/v3.16.8/cmake-3.16.8.tar.gz
#编译安装
tar zxf cmake-3.16.8.tar.gz && cd cmake-3.16.8 && ./bootstrap && make && make install
#创建软连接
ln -s /usr/local/bin/cmake /usr/bin/cmake

下载安装rust

curl https://sh.rustup.rs -sSf | sh

编译nginx

1
2
3
4
5
6
7
8
9
10
11
cd nginx-1.19.0
#打入quiche的path,官方说是支持nginx-1.16.1版,其实nginx-1.19.0版也是支持的
patch -p01 < ../quiche/extras/nginx/nginx-1.16.patch

#带插件编译nginx,这一步的路径和插件最好沿用老nginx的,以便无缝升级。
#nginx -V 查看老nginx路径和插件,复制下内容,然后加上下面的quiche插件就可以编译了。
#编译前应停止老版nginx,命令:systemctl stop nginx
./configure --prefix=$PWD --with-http_ssl_module --with-http_v2_module --with-http_v3_module --with-openssl=../quiche/deps/boringssl --with-quiche=../quiche
make
#最后一步make install是为了把文件打入指定路径,非必须执行
make install

编译好的Nginx二进制文件在/nginx-1.19.0/objs/文件夹里,或者直接在你编译时指定的路径里。

配置nginx.conf

vi /etc/nginx/nginx.conf

主要是在443端口下写入quic支持,和atl-svc响应头

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
events {
worker_connections 1024;
}

http {
server {
# 开启quic
listen 443 quic reuseport;

listen 443 ssl http2;
#证书路径
ssl_certificate cert.crt;
ssl_certificate_key cert.key;

#要支持quic必须要开启TLSv1.3
ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;

#Alt-Svc响应头
add_header alt-svc 'h3-27=":443"; ma=86400,h3-28=":443"; ma=86400';
}
}

保存,重启Nginx后,网站就应该支持HTTP/3了,可以按照下文的测试方法去测试一下。

下面分享编译官方Nginx-quic的方法:

编译官方Nginx-quic

首先放出nginx-quic官方网站:

https://hg.nginx.org/nginx-quic

因为官方用的也是BoringSSL库,所以可以借用上面quiche插件里面的BoringSSL,编译环境可参照上面,主要也就是cmake、go运行库、还有rust.

下载nginx-quic

下载并解压nginx-quic

wget -c https://hg.nginx.org/nginx-quic/archive/tip.tar.gz -O - | tar -xz

下载BoringSSL库

1
2
3
4
5
6
git clone https://boringssl.googlesource.com/boringssl
cd boringssl/
mkdir build
cd build/
cmake ..
make

如果你上面下载了quiche插件,这一步其实是不需要的,下面编译可以借用quiche里面的BoringSSL库。

编译nginx-quic

1
2
3
4
5
6
7
8
cd nginx-quic
#带插件编译nginx,这一步的路径和插件最好沿用老nginx的,以便无缝升级,编译前应停止老版nginx
#nginx -V 查看老nginx路径和插件,复制下内容,然后加上下面的boringssl就可以编译了
#boringssl库路径是沿用上面quiche文件夹里面的,如果是单独下载的BoringSSL,修改下路径就好了
./auto/configure --with-debug --with-http_v3_module --with-cc-opt="-I../quiche/deps/boringssl/include" --with-ld-opt="-L../quiche/deps/boringssl/build/ssl -L../quiche/deps/boringssl/build/crypto"
make
#最后一步make install是为了把文件打入指定路径,非必须执行
make install

nginx-quic配置nginx.conf

vi /etc/nginx/nginx.conf

主要是在443端口下写入http3支持,和atl-svc响应头

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
events {
worker_connections 1024;
}

http {
#http3日志记录
log_format quic '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" "$quic" "$http3"';

error_log /var/log/nginx/error.log crit;
access_log /var/log/nginx/access.log quic;

server {
# 开启http3,注意这一步不同于上面,上面填写的是quic
listen 443 http3 reuseport;

listen 443 ssl http2;
#证书路径
ssl_certificate cert.crt;
ssl_certificate_key cert.key;

#要支持quic必须要开启TLSv1.3
ssl_protocols TLSv1.2 TLSv1.3;

#Alt-Svc响应头,注意这个响应头填写也不同于上面
add_header alt-svc '$http3=":443"; ma=86400';
}
}

启动nginx后,网站就应该支持http3了,可以按照下面方法测试一下。

测试HTTP/3支持

UDP端口测试

QUIC-HTTP/3是基于UDP协议的,因此需要开放服务器的UDP 443端口,一般服务器是默认开放的,可以检测一下自己的UDP 443端口是否开放?服务端检查443端口命令:

netstat -anp | grep "443"

如果udp 443端口没有开放给nginx,那么可以使用iptables开放443端口:

1
2
3
4
5
iptables -I INPUT -p udp --dport 443 -j ACCEPT

service iptables save

service iptables restart

或者,在本地电脑上,执行下面的命令:

nc -v -u 1.2.3.4 443

其中,1.2.3.4为您的服务器IP地址,若收到类似下面的回显,则说明进入服务器的UDP 443端口开放了。

Connection to 1.2.3.4 443 port [udp/*] succeeded!

然后,再测试一下出服务器的UDP 443端口。在服务器上执行下面的命令:

nc -v -u google.com 443

如果收到类似下面的回显,说明设置成功。

Connection to google.com 443 port [udp/*] succeeded!

网站测试

目前,有两个网站可以用来测试我们的网站是否支持QUIC-HTTP/3。

这两个网站分别是:

https://gf.dev/http3-test

https://http3check.net/

输入自己的域名即可测试网站是不是支持http/3

浏览器开启http3

Firefox开启http3

首先在火狐地址栏输入:about:config

然后搜索http3,找到network.http.http3.enabledfalse 改成 true,重启、就可以了。

Chrome canary开启http3

注意,只有金丝雀版chrome才支持http3,在地址栏输入 chrome://flags/

搜索quic,找到Experimental QUIC protocolDefault改成Enabled,重启浏览器。

然后,在Chrome canary的快捷方式,右键、属性,在目标栏尾处添加--enable-quic --quic-version=h3-27 即可。

最后,在浏览支持http3的网站时,按f12键可以查看网络、协议显示为HTTP/3或者h3-27.

注:本文说的HTTP/3指的是IETF QUIC,而非Google QUIC,这两个,现阶段是完全不同的分支。文中说的Cloudflare的quiche补丁只支持IETF QUIC,还没有支持Google QUIC,所以IETF QUIC在Google Chrome浏览器中并不被很好地支持,需要指定启动项,当然它自家的Google QUIC倒是支持的很好。最新版火狐是直接走IETF QUIC的HTTP3的,且支持得很好。

参考:

Bitcoin:1MQ3DJHnEdkP9scCiA1pGXTe9wyBmDtrvv
yeahwu 比特币

比特币